Сформированы корректирующие обновления для всех поддерживаемых веток PostgreSQL: 13.4, 12.8, 11.13, 10.18 и 9.6.23. Обновления для ветки 9.6 будут формироваться до ноября 2021 года, 10 — до ноября 2022 года, 11 — до ноября 2023 года, 12 — до ноября 2024 года, 13 до ноября 2025 года.
В новых версиях предложено 75 исправлений и устранена уязвимость CVE-2021-3677, позволяющая через выполнение специально оформленного запроса прочитать содержимое памяти серверного процесса. Атака может быть совершена любым пользователем, имеющим доступ для выполнения SQL-запросов. Проблеме подвержены только ветки PostgreSQL 11, 12 и 13. Известные варианты атак не затрагивают конфигурации с настройкой max_worker_processes=0, но не исключено существование вариантов, не зависящих от этой настройки.
Источник: opennet.ru